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(57) Abstract 

The invention concerns 
a method enabling a smart 
card and a terminal whereto 
it is connected to authenti- 
cate each other. The inven- 
tion is characterised in that 
at the end of each transaction 
the terminal calculates, from 
data representing the card at 
said transaction end, a secret 
code CSC2 which is recorded 
in a zone ZCSC with unpro- 
tected access in the card mem- 
ory and an authentication cer- 
tificate CA2 which is recorded 
in a zone ZCA with protected 
access of the memory by pre- 
senting a secret code CSC2. 
At the next transaction, the 
terminal calculates, by means 
of data contained in the card, 
a secret code and an authenti- 
cation certificate which are compared 
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(57) Abr6gd 

L'invcntion conccmc un proc^d6 qui pcrmet k une carte h m6moire et ^ un terminal auquel ellc est conncct6e de s'authentifier 
mutuellement. L'invcntion inside dans le fait qu*^ la fin de chaque transaction le terminal calcule, ^ partir d* informations representatives 
de la carte k cette fin de transaction, un code secret CSC2 qui est enrcgistrd dans une zone ZCSC k acc^s non prot6g6 de la m6moire de 
la carte et un ccrtificat d*authentification CA2 qui est enregistrd dans une zone ZCA k acc6s protege de la m^moire par la presentation du 
code secret CSC2. A la transaction suivante, le terminal calcule, k Taidc dcs informations contcnues dans la carte, un code secret et un 
ccrtificat d*authentification qui sent compards h ceux pr6c6demmcnt enregistr6s pour r6aliser Vauthentification. L* invention est applicable 
aux cartes k m6moire. 
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PROCEDE D'AUTHENTIFICATION ENTRB DNE CARTE A MEMOIRS ET 

UK TERMINAL 



L • invention concerne les cartes a memoire et les 
terminaux auxquels elles sont susceptibles d'etre 
connect6es de temps i autre et, plus particulidrement, 
un proc6d6 qui permet & la carte & xafemoire et au 
5 terminal de s'authentif ier . 

Les cartes 4 m6moire, du fait qu* elles ne comportent 
pas un microprocesseur , ne peuvent pas mettre en oeuvre 
un algorithme d*authentif ication qui implique des 
calculs. Cependant, certaines cartes Sl mSmoire mettent 

10 en oeuvre un algorithme sous forme cdblSe qui permet 
1 • authentif ication dite "active" de la carte par le 
terminal mais pas 1 'authentif ication inverse du 
terminal par la carte. Par suite de leur faible cotit, 
les cartes h mfemoire sont tres utilis6es dans de 

15 nombreuses applications telles que les cartes de 
fid61it6, les contrSles d'accds, les paiements 
privatifs, etc . Cependant, par suite de 1' absence 

d* authentif ication, leur s6curit6 d'emploi est 
vulnerable de sorte qu*on leur prfeffere parfois des 

20 cartes d microprocesseur pour certaines applications. 
Mais ces cartes 4 microprocesseur sont d'un coUt 
nettement plus 61ev6, d'autant plus eleve que 
1' algorithme d'authentif ication est elaborfi, ce qui 
conduit a les ^carter pour des applications bon marchfe. 

25 Aussi, le but de la presente invention est d'obtenir la 
securite d'emploi des cartes h mfemoire, 

Ce but est atteint en mettant en oeuvre un procfide 
d'authentif ication dans lequel tous les calculs 
algorithmiques sont effectufis par le terminal auquel la 
30 carte a memoire est connect6e. 
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Par ailleurs, les operations relatives ^ 
I'authentification sont effectu6es avant le d6but d'une 
transaction proprement dite et apr&s la fin de cette 
transaction en vue de l*authentif ication au debut de la 
5 transaction suivante. 

L» invention concerne done un proc6d6 d^authentif ication 
entre une carte ^ mfimoire comportant au mo ins un 
compteur et un terminal, caract6ris6 en ce qu'il 
comprend les stapes suivantes consistant Sl : 
10 (a) Insurer la carte a mfimoire dans le terminal, 

(b) Calculer dans le terminal un code secret CSC^^ selon 
une fonction cryptograph igue F de plusieurs 
variables comprenant au mo ins un code CSN 
identifiant la carte i m^moire et la valeur dudit 

15 compteur, 

(c) Authentifier le terminal par la carte lorscjue le 
code secret calculi ^^^i identique ^ un code 
CSCq enregistr^ dans la memoir e h la fin de la 
pr6c6dente authentif ication selon I'opferation (f) 

20 ci-aprSs, 

(d) executer la transaction pr^vue et modifier la 
valeur dudit compteur, 

(e) calculer dans le terminal un nouveau code secret 
CSC2 selon la fonction cryptograph i que F du code 

25 CSN identifiant la carte a m^moire et de la 

nouvelle valeur dudit compteur, 

(f) mettre S jour la carte a mfemoire pour la prochaine 
transaction en enregistrant dans la mSmoire, le 
nouveau code secret CSC2 calculi par 1 • operation 

30 (e). 

Pour obtenir 1 ' authentif ication de la carte par le 
terminal, le proc6d6 comprend les 6tapes 
supplement a ires suivantes entre les Stapes (c) et (d) 
consistant ii : 
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(X) calculer dans le terminal un certificat 
d'authentif ication CA^^ selon une fonction 
cryptographique G de plusieurs variables comprenant 
au moins le code CSN identifiant la carte i mfemoire 
5 et la valeiir dudit compteiir, 

(y) authentifier la carte par le terminal lorsque le 
certificat d'authentif ication calcul6 CA^ est 
identique d un certificat CAq calculi et enregistr§ 
dans la carte i la fin de la pr6c6dente transaction 
10 selon les 6tapes (e*) et (f) ci-apr6s : 

en ce que l'6tape (e) est completee par I'fetape 
suivante consistant h : 

(e^) calculer dans le terminal un nouveau 
certificat d • authentif ication selon la fonction 

15 cryptographique G, 

et en ce que l'6tape (f) est compl6t6e par l'6tape 
suivante consistant ft : 

(f) mettre ft jour la carte a m6moire pour la 
prochaine transaction en enregistrant dans la 
20 memoire le nouveau certificat d • authentif ication 

CA2 calcul6 selon l*6tape (e*). 
D'autres caract6ristiques et avantages de la pr6sente 
invention apparaltront 4 la lecture de la description 
suivante d'un exemple particulier de realisation, 
25 ladite description fetant faite en relation avec le 
dessin joint dans lequel : 

la figure 1 est un schfema simplifie d'une carte ft 
mfemoire, et 

- la figure 2 est un diagramme montrant les operations 
3 0 effectu6es entre le terminal et la carte 4 mfemoire 

lors d'une transaction. 
Le procfede de 1 ' invention s' applique (figure 1) a une 
carte a memoire CM qui comprend bien entendu une 
m6moire M mais aussi un compteur CT dit de transactions 
3 5 qui compte les transactions effectu6es entre la carte 
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CM et un terminal TE auquel la carte est connectee par 
insertion* 

La carte a mfemoire CM peut aussi comprendre un deuxifeme 
compteur CE dit d * authentif ication qui compte les 
5 demandes d^ authentif ication, ces demandes 

d'authentif ication pouvant intervenir h tout moment 
lors d'une transaction et ind^pendamment de cette 
dernidre. 

Ces deux compteurs CE et CT peuvent faire partie de la 

10 memoire M selon des dispositifs connus* 

En outre, la memoire M de la carte comprend une 
premiere zone S accfes non prot6g6 en lecture dans 
laquelle est enregistr6, par exemple le numero de sSrie 
CSN de la carte dans une partie ZCSN^ et une deuxifeme 

15 zone a acces prot6g6 pour le reste de la mSmoire, cette 
deuxifeme zone comportant des parties qui sont affect^es 
a 1 ' enregistrement de valeurs particuli^res telles 
qu'un Certificat d'Authent if ication CA dans la partie 
ZCA et une balance BAL et son certificat 

20 d'authentif ication CBAL dans la partie ZBAL* 

Une troisifeme zone ZCSC est r6serv6e Sl 1 ' enregistrement 
d*un code secret CSC et son acces pour enregistrement 
est soumis a la presentation du code secret CSC. 
La mSmoire M est adressee par un circuit d'adressage 

25 ADR et la transmission bilatferale des signaux entre le 
terminal TE et la carte CM s'effectue par 
1 ' intermfediaire d*un circuit interface INT. 
Par ailleurs, la carte comprend un comparateur CP qui 
compare le code CSC lu dans la partie ZCSC a un code 

30 fourni par le terminal TE, le resultat de la 
comparaison permettant ou non I'adressage de la zone 
protegee de la mfemoire M. 

Le precede selon 1 ■ invention sera dScrit dans le cadre 
d'une authentif ication mutuelle entre la carte et le 
35 terminal en mettant en oeuvre le seul compteur de 
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transactions CT et des fonctions cryptograph iques dites 
a sens unicpie mais le procSd^ de 1 ' invention peut 
egalement s'appliquer Si la seule authentif ication du 
terminal par la carte, 4 la mise en oeuvre simultanfee 
5 des deux comptetirs CE et CT et de fonctions 
cryptographiques autres que celles a sens unique. Les 
diffSrentes operations, notamment cryptographiques, 
peuvent etre r&alis^es soit dans le terminal TE, soit 
dans un module de s^curitS, soit encore dans un 
10 dispositif distant. 

De pr6f6rence, le proc6d6 d' authentif ication mutuelle 
selon 1» invention comprend les fetapes suivantes 
consistant & : 

(m) Inserer la carte CM dans le terminal TE, cette 
15 Stape pouvant comporter la presentation d'un code 
personnel PIN de 1 'utilisateur de la carte, 
(n) Calculer dans le terminal TE une cl6 de session 
Ks-L en : 

(n^) lisant le numSro de s6rie CSN de la carte CM, 
20 (n2) lisant le contenu CTC^ du compteur de 

transactions CT de la carte CM et, 

(n3) calculant une cl6 de session Ks^ selon une 
fonction cryptographique a sens unique Fj^g telle 
que : 

25 Ks^ = ^ks^^' ^^N, CTC^^) 

- etant une cl6-m6re enregistrSe dans le 
terminal TE, 

- Fj^g etant par exemple une fonction du type 
hachage, 

30 (o) Calculer, dans le terminal TE, un code secret CSC-j^ 
de la carte & I'aide d'une fonction 
cryptographique F telle que : 
CSC^ = F(KS;j^) , 
(p) Authentifier le terminal TE par la carte CM en : 



wo 00/30048 



PCT/FR99/02692 



6 



(Pl) transmettant le code secret CSC^^ a la carte 
CM, 

(P2) comparant dans le coxaparateur CP ce code 
secret CSCj^ i un code secret CSCq enregistrfe dans 
5 la carte CM & la fin de la pr6cedentc transaction 

avec la carte, et 

(P3) autorisant la suite des operations si la 
comparaison indique l»identit6 CSCq = CSC^^ ou en 
la refusant dans le cas contraire ; 
10 (q) Calculer dans le terminal TE un Certificat 
d' Authentif ication CA^ tel que : 
CA^^ = G(Ks^) 

" G 6tant une fonction cryptographique, et 
(r) Authentifier la carte CM par le terminal TE en : 
15 (r^) lisant le contenu CAq de la zone ZCA de la 

mfemoire de la carte CM, 

(r2) transmettant au terminal TE le contenu CAq de 
cette zone protdg&e ZCA qui correspond a un 
Certificat d' Authentif ication CAq calculfe Sl la fin 
20 de la pr6c6dente transaction, 

(r3) comparant dans le terminal TE le Certificat 
d' Authentif ication calculi CA^ au certificat CAq, 
et 

(r^) autorisant la suite des operations si la 
25 comparaison indique I'identite CA-j^ = CAq ; 

(s) Executer la transaction, cette transaction pouvant 

consister par exemple a mettre a jour une zone de 

memoire ZBAL indiquant I'^tat du credit ou balance 

BAL restant dans la carte CM en : 
30 (s^) lisant dans la zone ZBAL la valeur BALq de la 

balance resultant de la transaction pr6c6dente et 

le certificat correspondant CBALq, 

(S2) vferifiant que le certificat CBALq correspond 
bien au r6sultat de la fonction cryptographique 
35 telle que : 
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CBALq = H (K^, BALq, CSN, CTC^) , 

- etant une cl6 dc transaction, 

(S3) incrfementant le compteur de transactions Bl la 
valeur (CTC^ + 1) 
5 (s^) enregistrant la nouvelle balance BAL^ dans la 

zone ZBAL, 

(S5) calculant un Certificat CBAL^^ de la nouvelle 

balance BAL^^ telle que : 

CBAL^ = H(Kt/ BKL^, CSN, CTC2)-, et 
10 (s^) enregistrant CBAL^^ dans la zone ZBAL ; 

(t) Mettre a jour la carte CM pour la prochaine 

transaction avec un nouveau code secret CSC2 et un 

nouveau certificat CA2/ en 

(t^) calculant dans le terminal TE : 
15 - la future cl6 de session Ksg telle que : 

- le futur code secret CSC2 tel que : 
CSC^ = F(KS2) / 

- le futur certificat d'authentif ication CA2 tel 
20 que : 

CA2 = G(KS2) , 

(t2) enregistrant le code secret CSC2 dans la 
raexaoire M de la carte CM dans la zone protegee et 
le certificat d'authentif ication CA2 dans la zone 
25 protegee ZCA. 

L» invention a 6t6 dficrite avec un exemple particulier 
de realisation dans lequel la transaction est une 
operation sur la valeur balance de la carte ; 
cependant, 1* invention s' applique a toute autre 
30 transaction selon les applications prfevues pour la 
carte consid6r6e* 

Dans cet exemple particulier, la transaction se termine 
par une incrementation du compteur de transactions CT S 
une valeur CTC2 qui est 6gale habituellement S 
35 (CTC^ -f 1) . Cependant, cette valeur de CTC2 peut fetre 
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diff6rente de (CTC^ + 1) et 6tre 6gale, par exemple, a 
(CTC^ + 3) . 

Ce compteur de transactions doit fitre incrSmentfi ou 
d6creiaent6 i chaque transaction mfeiae si !• operation 
5 conduit a ne pas changer la balance ; dans ce cas, il 
faut effectuer la transaction en r6enregistrant la 
balance inchangfee mais le certif icat CBAL^, sera 
different car le compteur de transactions aura 6t6 
incr6inent6. II en sera de mfexne du nouveau code secret 

10 CSC2 et du certif icat CA2. 

Les variables des fonctions F, G et Fj^^ qui ont ete 
retenues dans 1' exemple sont la cl6-m&re, le numfero de 
s6rie CSN et la valeur CTC du compteur de transactions. 
Cependant, des variables additionnelles peuvent Stre 

15 utilisfees telles que le code personnel PIN de 
I'utilisateur de la carte, ce code 6tant entr6 dans le 
terminal aprfes insertion de la carte. 

L' invention a 6t6 d6crite dans le cadre d'une 
authentif ication mutuelle carte/terminal mais elle 

20 s'applitjue de manifere plus g6n6rale d'abord Bl une 
authentif ication du terminal par la carte, cette 
premifere authentif ication pouvant §tre suivie ou non 
par une authentif ication de la carte par le terminal, 
1' ensemble des deux authentif ications rfealisant une 

25 authentif ication mutuelle. 

L' exemple d6crit utilise des fonctions cryptographiques 
F, G et Fj^g utilisant des variables telles qu'une de- 
mure Kjj^, une cl§ de session Kg et une cle de 
transaction K^, mais de telles cles ne sont pas 

3 0 nScessaires pour mettre en oeuvre 1* invention. 

La valeur du compteur d ' authentif ications CE est de 
pr6f6rence utilis6e pour le calcul du code secret CSN 
tandis que la valeur du compteur de transactions CT est 
de preference utilisfee pour le calcul du certif icat 

35 d' authentif ication CA. 
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1. Proc6d6 d'authentif ication entre une carte Sl mSmoire 
(CM) comportant au moins un compteur (CE, CT) et un 
terminal (TE) , caract6ris6 en ce qu'il comprend les 
6tapes suivantes consistant i : 
5 (a) Insurer la carte i mfemoire (CM) dans le terminal 
(TE) , 

(b) Calculer dans le tenainal un code secret CSC^^ selon 
une fonction cryptograph ique F de plusieurs 
variables comprenant au moins un code CSN 

10 identifiant la carte & m6moire et la valeur (CTE^, 

CTC^) dudit compteur (CE, CT) , 

(c) Authentifier le terminal par la carte lorsque le 
code secret calcule CSC^ est identique a un code 
CSCq enregistrg dans la mSmolre a la fin de la 

15 pr6c6dente authentif ication selon 1 'operation (f) 

ci-aprfes, 

(d) executer la transaction pr6vue et modifier la 
valeur (CTE2/ CTC2) dudit compteur (CE, CT) , 

(e) calculer dans le terminal (TE) un nouveau code 
20 secret CSC2 selon la fonction cryptograph ique F du 

code CSN identifiant la carte Sl m6moire (CM) et de 
la nouvelle valeur (CTE2, CTC2) dudit compteur (CE, 
CT), 

(f) mettre a jour la carte a m6moire (CM) pour la 
25 prochaine transaction en enregistrant dans la 

memoire (M) , le nouveau code secret CSC2 calcul6 
par 1* operation (e) . 



30 



2. Proc6d6 selon la revendication 1, caract6ris6 : 
- en ce qu'il comprend les Stapes supplementaires 
suivantes entre les 6tapes (c) et (d) consistant h : 
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(x) calculer dans le terminal (TE) un certif icat 
d'authentif ication CA^^ selon une fonction 
cryptographique G de plusieurs variables comprenant 
au moins le code CSN identifiant la carte & mfeinoire 
5 et la valeur (CTEj^, CTCj^) du compteur (CE, CT) , 

(y) authentifier la carte (CM) par le terminal (TE) 
lorsque le cert if icat d'authentif icat ion calculi 
CA^ est identique i un cert if icat CAq calcule et 
enregistrfe a la fin de la pr6c6dente transaction 
10 selon les Stapes (e') et (f") ci-apr6s : 

en ce que I'fetape (e) est compl6t6e par I'etape 
suivante consistant i : 

(e») calculer dans le terminal (TE) un nouveau 
certif icat d" authentif icat ion CA2 selon la fonction 
15 cryptographique G du code CSN identifiant la carte 

a mfemoire et de la nouvelle valeur (CTE2/ CTC2) 
dudit compteur (CE, CT) , 

- et en ce que l'6tape (f) est compl6t6e par I'fetape 
suivante consistant h : 

20 (fM mettre a jour la carte a mfimoire (CM) pour la 

prochaine transaction en enregistrant dans la 
mSmoire (M) le nouveau certificat 

d ' authentif icat ion CA2 calcule selon I'fetape (e'). 

25 3* ProcfedS selon la revendication 1, caracterise : 

- en ce que l'6tape (b) consiste sL : 

- calculer d'abord dans le terminal (TE) une cle de 
session Kg^ selon une fonction cryptographique Fj^g 
de plusieurs variables comprenant au moins une cl6- 

3 0 mdre K^^^ connue du terminal (TE) , le code CSN 

identifiant la carte Sl mSmoire (CM) et la valeur 
(CTE^, CTC^) dudit compteur (CE, CT) , 

- calculer ensuite dans le terminal (TE) le code 
secret CSC^ selon la fonction cryptographique F de 

35 la cl6 de session Kg^, 
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- en ce que l'6tape (e) consiste Si : 

calculer d'abord dans le teinninal (TE) une 
nouvelle cl6 de session selon la fonction 

cryptographicpae Fj^^ avec la nouvelle valeur (CTE2, 
5 CTC2) dudit coxnpteur (CE, CT) , 

- calculer ensuite dans le terminal (TE) le nouveau 
code secret CSC2 selon la fonction cryptographique 
F de la nouvelle cl6 de session K^j* 

10 4. Proofed^ selon la revendication 2 et 3, caract§rise 
en ce que : 

" l'6tape (e») consiste a calculer le nouveau 
certificat d'authentif ication CA2 selon la fonction 



15 



cryptographique G de la nouvelle cl6 de session Kg2 



5, Proc6d6 selon I'une quelconque des revendications 
pr6c6dentes 1 h A, dans son application a une carte a 
mfemoire (CM) comprenant deux compteurs, I'un (CE) 
comptant les authentif ications et 1» autre (CT) comptant 
20 les transactions de paiement, caract6ris§ en ce que les 
variables des fonctions cryptographiques F, G et Fj^g 
comprennent les valeurs (CTE^/ CTE2 / CTC^, CTC2) 
desdits compteurs. 

25 6. Precede selon I'une des revendications precedentes 
caract6ris6 en ce que les fonctions cryptographiques F, 
G et Fj^g sont des fonctions a sens unique. 

7. Proc6de selon la revendication 6, caracteris6 en ce 
30 que les fonctions cryptographiques F, G et Fj^g sont des 
fonctions de "hachage". 



35 



8. Procfedfe selon l*une des revendications precedentes 3 
a 7, caract6ris6 en ce que l'6tape (b) coxnprend les 
etapes suivantes consistant a : 
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(b^) lir le nxiiafero de s6rie CSN de la carte (CM) , 
(b2) lire le contenu (CTE^^ et/ou CTC^) du 
coinpteur, et 

{b3) calculer la cl6 de session selon une fonction 
5 crypt ographique Fj^^ telle que : 

9. Proc6d6 selon I'une des revendications 1 a 8, 
caractferis^ en ce que l»6tape (c) comprend les fetapes 

10 suivantes consistant a : 

(c^) transmettre le code secret CSC^ ^ la carte 
CM, 

(C2) comparer dans la carte ce code secret CSC^ ^ 
un code secret CSCq enregistr6 dans la carte CM a 
15 la fin de la prec6dente transaction avec la carte, 

et 

(C3) autoriser la suite des operations si la 
comparaison indique 1' identity CSCq = CSC^ ou en 
la refusant dans le cas contraire. 

20 

10. Proc6d6 selon I'une des revendications 2 a 9, 
caracterisS en ce que I'etape (y) comprend les etapes 
suivantes consistant a : 

(y^) lire le contenu CAq de la zone ZCA de la 
25 mfemoire de la carte CM, 

(yg) transmettre au terminal (TE) le contenu CAq 

de cette zone ZCA qui correspond a un Certificat 

d*Authentif ication CAq calcule a la fin de la 

prec6dente transaction, 
3 0 (y^) comparer dans le terminal TE le Certificat 

d'Authentif ication calcul6 CA^ au certificat CAq, 

et 

(y^) autoriser la suite des operations si la 
comparaison indique 1' identity CA^ = CAq. 

35 
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11. Proc6d6 selon Inline des revendications 1 a 10, 
caracterisfi en ce que I'fetape (d) comprend, dans le cas 
d»une modification de la balance BALq, les 6tapes 
suivantes consistant i : 

5 (d^) lire dans une zone 2BAL de la mfemoire (M) la 

valeur BALq de la balance rfesultant de la 
transaction pr6c6dente et le certificat 
correspondant CBALq, et 

(d2) v6rifier que le certificat CBALq correspond 
10 bien au r6sultat de la fonction cryptograph ique 

telle que : 

CBALq = H (K^, BALq, CSN, CTC^^) , 
- 6tant une cl6 de transaction, 

(d3) incrfementer le compteur de transactions la 
15 valeur (CTC^ + 1) - CTC2 

(d^) enregistrer la nouvelle balance BAL^ dans la 
zone ZBAL, 

(dg) calculer un Certificat CBAL^ de la nouvelle 
balance BALj^ telle que : 
20 CBALj^ = H(Kt, BAL^^, CSN, CTC2) / et 

(dg) enregistrer CBALj^ dans la zone ZBAL, 

12. Proc6d6 selon I'une des revendications prec6dentes 
1 a 11, caract6ris6 en ce que : 

25 " I'fetape (a) comprend en outre, une 6tape d'entrfee du 
code personnel PIN de 1 'utilisateur . 

13. Precede selon I'une des revendications pr6c6dentes 
3 a 12, caract6ris6 en ce que : 

30 - dans l»6tape (b) , I'une des variables utilisees pour 
le calcul de session Ks^ est le code personnel PIN de 
1 'utilisateur . 
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